Tailscale bereitet Patches für Sicherheitslücken vor, durch die bereits autorisierte Nutzer, die sich über Tailscale SSH verbinden dürfen, ihre lokalen Kontoberechtigungen überschreiten und möglicherweise Root-Rechte erlangen könnten. Laut dem Bericht von BleepingComputer vom 27. Oktober will das Unternehmen die Korrekturen bis zum Ende des Dienstags, 27. Oktober, veröffentlichen, und hat Übergangsmaßnahmen skizziert.
Cyberdione Labs hat nach einem Audit von Tailscale 1.104.2 und des selbst gehosteten Control-Servers headscale v0.29.5 insgesamt elf Schwachstellen gemeldet, die als Tailworm zusammengefasst werden. Die Befunde betreffen SSH, App-Connectors, Relay-Verbindungen, die Offenlegung lokaler Dienste und headscale. Erica Windisch, Gründungsmitglied von Cyberdione Labs, sagte, die Forscher hätten alle Befunde in einem Labor mit diesen unveränderten Versionen reproduziert. Zum Zeitpunkt der Veröffentlichung seien die Lücken laut Bericht nicht gepatcht gewesen.
Tailscale bestätigte am Montag den Eingang des Berichts und bezeichnete die Probleme als gravierend. Das Unternehmen prüfe jedoch noch den vollen Umfang und die betroffenen Konfigurationen. Die Ausnutzung hänge von den Berechtigungen des verbindenden Nutzers oder Geräts, der Systemkonfiguration und weiteren Bedingungen ab, so das Unternehmen.
SSH-Weiterleitung eröffnet einen Weg über Kontoberechtigungen hinaus
Die gemeldeten SSH-Lücken betreffen die Weiterleitung von Unix-Sockets im SSH-Server, der in tailscaled eingebettet ist und als Root läuft. Laut den Befunden der Forscher, wie BleepingComputer sie darstellt, könnten Pfadprüfungen und Dateioperationen mit Root-Rechten in Kombination mit Race Conditions und fehlender Rechtereduzierung dazu führen, dass eine gewöhnliche Sitzung privilegierte Ressourcen ersetzen, sich mit ihnen verbinden oder sie löschen kann.
Als Voraussetzung wird ein genehmigtes Gerät und eine SSH-Richtlinienregel genannt. Die Weiterleitung wird bei headscale automatisch gewährt, während sie beim gehosteten Dienst von Tailscale pro Regel gesteuert wird. Dokumentierte mögliche Folgen sind die Ausführung von Root-Code auf Zielservern, das Abgreifen von Registrierungsschlüsseln und das beliebige Löschen von Dateien im Besitz von root.
Tailscale erklärte, dass jemand, der bereits zur Verbindung über Tailscale SSH berechtigt ist, unter Umständen Aktionen ausführen könne, die über die Berechtigungen des konfigurierten lokalen Benutzers hinausgehen. Das ist ein Risiko der Rechteausweitung nach einem autorisierten Zugriff. Der Bericht belegt jedoch nicht, dass jedes Tailnet unter jeder Konfiguration betroffen ist.
Übergangsmaßnahmen bis zur Bereitstellung der Patches
Die aktuelle Einschätzung von Tailscale rechtfertige keine Empfehlung an alle Nutzer, Tailscale SSH zu deaktivieren. Stattdessen rät das Unternehmen, SSH-Richtlinien zu überprüfen, den Zugriff auf Nutzer und Geräte zu beschränken, die ihn benötigen, und für sensible Systeme vorübergehende Einschränkungen in Betracht zu ziehen.
Für Systeme, die keine SSH-Weiterleitung benötigen, empfiehlt das Unternehmen, in der Dienstumgebung von tailscaled den Wert TS_SSH_DISABLE_FORWARDING=1 zu setzen und den Dienst neu zu starten. Dadurch werde die Weiterleitung deaktiviert, Tailscale SSH bleibe verfügbar, und mehrere der gravierenderen Befunde würden entschärft. Nutzer sollten sich außerdem darauf vorbereiten, den gepatchten Client einzuspielen, sobald er verfügbar ist.
Die übrigen gemeldeten Befunde haben andere Voraussetzungen. Ein Gerät, dem das experimentelle App-Connector-Feature conn25 gewährt wurde, könnte Datenverkehr zu Zielen lenken, ohne dass Netzwerk-ACLs auf dem tatsächlichen Ziel geprüft werden. So ließen sich möglicherweise Zugangsdaten aus Cloud-Metadaten, interne Netze und in Kubernetes sogar jeder Cluster-Dienst erreichen. Ein aus dem Internet erreichbarer headscale-Control-Server könnte durch nicht authentifizierte Ressourcenerschöpfung angreifbar sein, was zu Crash-Loops führt und die Registrierung neuer Geräte blockiert.
Die Forscher meldeten zudem eine Speichererschöpfung auf dem Client, wenn ein Angreifer einen Agenten zu einem bösartigen DERP-Relay lenken kann. Getrennt davon betreffen die Befunde zu tailscale serve den Zugriff auf die administrative API aus der Ferne, wenn ein Betreiber TCP-Weiterleitung zu einem Unix-Socket konfiguriert, sowie eine Autorisierungs-Race-Condition, durch die eine Minderheit der Anfragen die Anwendungsautorisierung umgehen könnte. Der vorliegende Bericht beschreibt Laborbefunde und mögliche Folgen; eine Ausnutzung in freier Wildbahn wird nicht gemeldet.
